Unternehmen stehen vor der drängenden Aufgabe, Künstliche Intelligenz (KI) nicht nur innovativ, sondern vor allem rechtssicher einzusetzen. Der EU AI Act und die DSGVO setzen klare Rahmenbedingungen, insbesondere für Hochrisiko-Anwendungen in Bereichen wie Human Resources (HR) und Finance. Ohne verbindliche Governance riskieren Unternehmen massive Datenschutzverstöße, den Verlust von Geschäftsgeheimnissen und empfindliche Sanktionen. Gleichzeitig führt ein reines Verbot von KI-Tools häufig zu einer verborgenen Nutzung ("Shadow AI"), die die Compliance-Risiken weiter erhöht. Dieser Artikel beleuchtet die regulatorischen Vorgaben, zeigt die Gefahren von Schatten-KI auf und liefert einen praxisnahen 7-Punkte-Check für eine sichere KI-Nutzung.

Verbotene Praktiken und Hochrisiko-Einstufung im Beschäftigungskontext (EU AI Act)

Der EU AI Act klassifiziert bestimmte KI-Anwendungen im Arbeitsumfeld als besonders riskant. Seit Februar 2025 ist die Nutzung von Emotionserkennungssystemen am Arbeitsplatz gemäß Art. 5 Abs. 1 lit. f ausdrücklich verboten. Darüber hinaus fallen KI-gestützte Prozesse wie Bewerberscreening, Beförderungsentscheidungen und Leistungsüberwachung unter Anhang III Ziffer 4 als Hochrisiko-Systeme. Betreiber solcher Systeme (Deployer) unterliegen nach Art. 26 strengen Überwachungs-, Protokollierungs- und Dokumentationspflichten. Ab August 2026 gelten zudem Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte (Art. 50), die jede Interaktion mit KI offenlegen müssen.

Verbotsparadoxon bei Schatten-KI

Studien zeigen, dass pauschale Verbote die Nutzung von nicht freigegebenen KI-Tools nicht reduzieren, sondern ins Verborgene treiben. In Organisationen mit einem generellen Verbot geben Mitarbeitende 67 % ihrer sensiblen Daten in Drittanbieter-Tools ein, während bei klaren Richtlinien nur 33 % der Daten extern verarbeitet werden (2025, KPMG/Univ. of Melbourne). Dieses "Verbotsparadoxon" verdeutlicht, dass Kompetenzaufbau und klare Leitplanken wirksamer sind als reine Verbote.

Die drei Risikoebenen: Datenschutz, Regulierung, Fachlichkeit

Um KI-Einsätze kontrolliert zu steuern, sollten Unternehmen drei Risikoebenen prüfen:

  • Datenschutz: Personenbezogene oder geschäftskritische Informationen unterliegen den Grundsätzen der Datenminimierung und Zweckbindung nach Art. 5 DSGVO.
  • Regulierung: Der EU AI Act verlangt für Hochrisiko-Anwendungen umfangreiche Transparenz- und Dokumentationspflichten. 82 % der Unternehmen geben an, dass regulatorische Vorgaben ihren KI-Umgang stark beeinflussen.
  • Fachlichkeit: KI-Ergebnisse müssen nicht nur plausibel, sondern fachlich korrekt und nachvollziehbar sein. 47 % der Entscheider sehen die Qualität der KI-Antworten als zentrale Herausforderung.

7-Punkte-Compliance-Check für rechtssichere KI-Nutzung

Der von Haufe entwickelte Compliance-Check hilft, KI-Anwendungen systematisch zu bewerten:

  1. Anwendungsfall: Was soll die KI konkret leisten?
  2. Risiko: Welche Folgen hat ein falsches Ergebnis?
  3. Datenschutz: Welche Datenkategorien fließen in das Modell?
  4. Tool-Zulassung: Ist das System IT-seitig freigegeben?
  5. Qualitätssicherung: Wer prüft die KI-Ergebnisse?
  6. Verantwortlichkeit: Wer übernimmt die fachliche Haftung?
  7. Training: Kennen die Teams die Regeln für Grenzfälle?

Durch die konsequente Anwendung dieses Checks können Unternehmen die Balance zwischen Innovation und Compliance wahren.

Praxisbeispiel HR: Von Schatten-KI zu kontrollierter Unterstützung

Im HR-Bereich zeigt sich das Potenzial einer strukturierten Governance besonders deutlich. Eine digitale Personalakte dient als sichere Datenbasis. KI-gestützte Funktionen wie automatisiertes CV-Screening, Dokumentengenerierung und standardisierte Anfragen beschleunigen Prozesse, ohne die Kontrolle zu verlieren. Haufe-Lösungen verbinden dabei:

  • Fachkontext: KI arbeitet mit HR-relevanten Inhalten.
  • Datenkontrolle: Sensible Informationen bleiben in freigegebenen Systemen.
  • Prüfbarkeit: Quellen und Entscheidungslogik sind nachvollziehbar.
  • Klare Rollen: Endabnahme und Haftung sind eindeutig zugewiesen.
  • Alltagstauglichkeit: Integration in bestehende Workflows.

Durch diese Kombination wird die Gefahr von Schatten-KI minimiert und gleichzeitig die Effizienz gesteigert.

Statistiken und aktuelle Kennzahlen zur KI-Governance

  • 98 % der Unternehmen verfügen über eine KI-Strategie (2026, KPMG).
  • Nur 39 % steuern die KI-Strategie aktiv über das Top-Management (2026, KPMG).
  • 78 % der KI-Nutzer bringen eigene Tools mit (BYOAI) (2024, Microsoft/LinkedIn).
  • 60 % der Führungskräfte beklagen fehlende Umsetzungspläne (2024, Microsoft/LinkedIn).
  • 42 % der Unternehmen haben noch keine internen KI-Richtlinien (2025, Bitkom).
  • Nur 26 % stellen offizielle KI-Dienste bereit (2025, Bitkom).

Gegenmaßnahmen gegen Überregulierung und Rollenunklarheit

Während zu strenge Kontrollen Innovationsstau riskieren, können klare, abgestufte Freigabeprozesse die Akzeptanz erhöhen. Gleichzeitig muss die Rollenverteilung zwischen Betreiber (Deployer) und Anbieter (Provider) eindeutig definiert sein, da tiefgehende Anpassungen (z. B. Fine-Tuning mit internen HR-Daten) Unternehmen rechtlich vom reinen Anwender zum Anbieter aufsteigen lassen können (EU AI Act). Durch transparente Rollenbeschreibungen und proportionale Prüfverfahren lassen sich sowohl Innovationsdruck als auch Compliance-Risiken ausbalancieren.

FAQ - Häufig gestellte Fragen zur KI-Governance im Unternehmen

Ab wann greifen die Pflichten des EU AI Act für Personalabteilungen?Verbotene Praktiken wie Emotionserkennung gelten seit Februar 2025. Transparenz- und Kennzeichnungspflichten (Art. 50) sind seit August 2026 anwendbar, während die Hochrisiko-Auflagen für automatisierte CV-Filterung schrittweise verbindlich werden.Warum reichen pauschale KI-Verbote im Unternehmen nicht aus?Paschale Verbote verhindern den Effizienzdruck nicht: Mitarbeitende nutzen KI meist heimlich auf privaten Geräten. Ohne offizielle Enterprise-Lizenzen steigt das Risiko für unbemerkte Datenlecks und DSGVO-Verstöße nachweislich an.Welche Anforderungen stellt Art. 4 des EU AI Act an Arbeitgeber?Art. 4 verpflichtet Organisationen, ausreichende KI-Kompetenz ("AI Literacy") im Team sicherzustellen, damit Beschäftigte Funktionsweisen, Grenzen und rechtliche Risiken der genutzten Werkzeuge fundiert bewerten können.

Fazit

Rechtssichere KI-Governance ist kein Hindernis für Innovation, sondern die Basis für skalierbare und vertrauenswürdige KI-Anwendungen. Durch klare Richtlinien, offizielle Tool-Freigaben und den 7-Punkte-Compliance-Check können Unternehmen die Risiken von Schatten-KI eindämmen, regulatorische Vorgaben des EU AI Act und der DSGVO erfüllen und gleichzeitig die Potenziale von Generative AI im HR- und Finance-Umfeld ausschöpfen. Der Schlüssel liegt dabei in kompetenzbasiertem Handeln statt in reinen Verboten - so wird KI zum echten Innovations- und Wettbewerbsvorteil.